如何利用分段機制保護物聯網？
物聯網（IoT）裝置的快速部署態勢正對當今不斷髮展的網路安全性產生重大而深遠的影響。
自帶裝置（BYOD）是最近十餘年來首輪最重要的物聯網裝置引入，且主要集中在移動手機與膝上型電腦等使用者自有裝置身上。
在此期間，系統管理員亦在努力將不安全及未受保護的裝置引入主幹封閉網路當中，而網路犯罪分子則很快利用這種新的攻擊載體。
一、人均聯網裝置數量即將多達7臺
快速推進到今天，這個問題已經變得更為複雜。使用者已經開始用智慧手機取代功能機，其上能夠執行的應用程式已經遠遠超過任何人的想象。與此同時，其它智慧裝置（包括可穿戴裝置與平板電腦）仍在持續增長，部分專家估計到2020年人均聯網裝置數量將多達 7 臺。
然而，終端使用者裝置僅僅只是系統管理員需要關注的冰山一角。其它物聯網（IoT）裝置也在以前所未有的速度立足網路內部激增——從智慧家電與庫存追蹤器，再到聯網醫療與 OT 裝置皆在其中。這種擴充套件已經成為大資料增長背後的關鍵性驅動因素，且貢獻著可觀的網路流量比例。
專家們認為，到2023年將有近 320億 臺物聯網裝置存在，並以 43% 的複合年增長率支援全球移動資料流量。
二、大多數IT安全架構尚未做好準備
由於大多數此類資料以需要在不同網路（包括多雲環境）內的各類應用程式與事務之間往來移動的形式存在，因此我們需要對大部分資料進行加密。
除了資料量本身快速超越安全裝置的消化能力之外，加密機制的介入也將帶來新的複雜層。在檢查 SSL 流量方面，全球範圍內幾乎所有已經部署的安全解決方案都很難應對由此帶來的巨大壓力。而且可以肯定的是，未來大多數邊緣與內部安全裝置都需要將此作為自身的主要功能。
對於在新興數字市場中競爭的組織而言，安全事故無疑是不可接受的。更糟糕的是，使用者總能找到繞過安全機制的方法並給網路體系帶來致命軟肋。
對於安全團隊而言，放慢速度以充分應用安全檢查與協議機制是一種不可接受的處理思路。考慮緊張的安全預算，幾乎不可能將安全裝置升級至足以承載如此嚴苛的效能要求。
除了上述因素之外，組織還需要確保在不同網路域之間傳輸資料時，實施統一的安全策略——這無疑進一步增加了安全問題的複雜性，組織需要在各種網路生態系統中部署具備相同功能與特性的工具。
三、如何利用分段機制保護物聯網？
實現這一目標的關鍵策略，在於實施全面的分段策略。對於這樣一套行之有效的物聯網（IoT）安全策略，需要執行以下三個基本步驟：
1、建立廣泛的可見性：
大多陣列織面臨的最大挑戰，在於識別並追蹤接入網路的所有物聯網裝置。網路訪問控制允許組織以安全的方式對物聯網裝置進行身份驗證與分類。立足訪問點對裝置進行實時發現與分類，IT團隊將能夠構建起風險概況，並可自動將物聯網裝置分配予適當的裝置組與相關策略。
2、立足生產網路進行物聯網分段：
一旦網路確定了物聯網裝置，IT 團隊接下來需要建立物聯網攻擊面控制機制。將物聯網裝置與相關通訊分段為基於策略的組與安全網路區域提供可由網路自動授予及執行的基準物聯網裝置配置許可權。
庫存管理工具能夠追蹤這些裝置，行為分析工具可以監控其行為，而應用內分段防火牆（ISFW）則使得組織不僅能夠快速、動態地監控其行為，還能夠檢查跨越分段邊界的應用程式及其它流量。
3、保護網路：
建立策略驅動型物聯網組，而後將其與內部網路分段相結合，從而根據行為對裝置策略進行多層監控、檢查與實施——而無需考慮分散式企業級基礎設施的具體部署位置。在此之後，整合的自動化安全框架使得在傳統上相互隔離的安全裝置能夠在物聯網流量經由網路時將各類威脅情報關聯起來——甚至能夠在跨越不同網路生態系統部署的裝置之間進行關聯。在此之後，這些整合工具能夠自動將高階安全功能應用於一切物聯網裝置或者網路中任何位置的異常流量，包括接入點、跨網段流量以及跨多雲部署環境。
組織不應再將物聯網裝置視為業務體系中的孤立或者獨立組成部分。物聯網（IoT）裝置及其相關資料能夠與您的擴充套件網路中的其它裝置與資源進行互動，包括各類端點裝置、多雲環境以及互聯程度日益增長的 IT 與 OT 網路。
傳統上的隔離型物聯網安全解決方案不僅會增加開銷並降低可見性，而且完全無法配合如今物聯網裝置所產生的大規模流量。為了充分對網路及物聯網加以保護，組織需要跨越網路環境部署廣泛的安全架構、強大的安全工具，以動態方式對物聯網裝置進行分段，同時以符合網路速度的水平檢查加密流量。除此之外，組織還應實現不同安全解決方案之間的深度整合，從而關聯威脅情報並自動立足分散式物聯網網路中的任何位置對檢測到的威脅加以響應。
宣告：本文來自安全內參，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。